Bewaartermijnen voor AI-prompts, outputs en auditlogs onder de AI Act

U moet per datacategorie — prompts, modeloutput en auditlogs — vastleggen welke bewaartermijn geldt en op welke wettelijke grondslag die rust. Dit is geen technische configuratie meer, maar een expliciete beleidsbeslissing die u moet kunnen rechtvaardigen.

De aanleiding is een analyse van 5 augustus 2026 van bewaartermijnen voor AI-logs onder de AI Act, die aantoont dat artikel 12 en 19 van de EU AI Act een minimale retentie van zes maanden voor hoog-risico AI-systemen voorschrijven, terwijl de GDPR tegelijk kortere termijnen eist voor logs met persoonsgegevens. De praktische gidsen uit 2026 maken duidelijk hoe deze twee regimes tegelijk kunnen gelden. In onze beoordeling betekent dit dat u niet langer op standaardinstellingen van tools kunt vertrouwen, maar per workflow moet documenteren wat u bewaart, hoe lang, en waarom.

Wat eist artikel 12 van de AI Act voor logging?

Artikel 12 verplicht hoog-risico AI-systemen tot automatische logging over hun hele levensduur. Die logs moeten vastleggen: de gebruiksperiode, welke referentiedatabase is gebruikt, welke inputdata zijn verwerkt, en welke natuurlijke personen betrokken waren. Het doel is traceerbaarheid en ondersteuning van post-market monitoring door toezichthouders. Dit is geen aanbeveling, maar een voorwaarde. Bewaring van auditlogs is dus niet optioneel.

De minimumtermijn bedraagt zes maanden voor biometrische identificatiesystemen en geldt als de facto standaard voor andere hoog-risicocategorieën. Deze termijn is gekoppeld aan de vensters waarbinnen toezicht en onderzoek plaatsvinden. Voor technische documentatie en trainingsrecords van GPAI-modellen gelden aanzienlijk langere bewaartermijnen. Er bestaat dus geen uniforme termijn: het hangt af van het type gegeven en het regelkader.

Hoe werkt de GDPR als bovengrens?

Artikel 5(1)(e) GDPR verankert het principe van opslagbeperking: persoonsgegevens mogen alleen bewaard worden zolang dat noodzakelijk is voor het verwerkingsdoel. Dit stelt geen vaste termijnen vast, maar legt wel een maximale duur op. Promptlogs met persoonsgegevens kunnen daarom veel korter moeten worden bewaard dan de zes maanden die artikel 12 minimaal eist.

Dit spanningsveld is de kern van het probleem. U moet tegelijk voldoen aan de ondergrens van artikel 12 (zes maanden voor hoog-risico logs) en de bovengrens van de GDPR (alleen zolang nodig voor het doel). Dit lost u op door datacategorieën te onderscheiden. Promptlogs met persoonsgegevens kunnen bijvoorbeeld dertig dagen gelden, terwijl bias-auditrecords twee jaar krijgen en hoog-risico AI-logs de minimaal zes maanden aanhouden.

Welke categorieën moet u apart behandelen?

• Promptlogs met persoonsgegevens — korte termijn bepaald door GDPR-noodzakelijkheid, niet door AI Act-minimum.
• Auditlogs voor hoog-risico AI-systemen — minimaal zes maanden onder artikel 12, ongeacht GDPR-overwegingen.
• Bias- en fairness-records — langer bewaard vanwege compliance- en onderzoeksdoeleinden.
• Trainings- en validatiedocumentatie — aanzienlijk langer, soms jaren, voor GPAI-modellen.
• Sectorale compliance-logs — bepaald door aanvullende regelgeving (bijvoorbeeld vijf tot zeven jaar in financiële sector).

Hoe documenteert u uw bewaartermijnbeleid?

Elke termijn moet een gerechtvaardigde onderbouwing hebben. U stelt vast: welke datacategorie, hoe lang, en op grond van welke combinatie van AI Act, GDPR en sectorregels. Dit beleid moet per workflow zichtbaar zijn. Een werkbaar schema onderscheidt minstens drie sporen: welke gegevens u verzamelt, hoe lang u ze bewaart, en onder welke voorwaarden u ze anonimiseert of wist.

De uitvoering vereist dat u per workflow zicht houdt op welke prompts, outputs en logs aanwezig zijn, en auditbaar kunt vastleggen wanneer data zijn geanonimiseerd of verwijderd. Dit is niet alleen een registratie, maar een controleerbare handeling. Wie dit vooraf inricht, hoeft achteraf niet te reconstrueren waarom een prompt nog bestond of een auditlog al was verdwenen.

1. Documenteer welke datacategorieën in uw workflow voorkomen — prompts, outputs, auditlogs, trainingsdata — en welke ervan persoonsgegevens bevatten.
2. Bepaal per categorie de minimumtermijn onder artikel 12 — zes maanden voor hoog-risico logs, langer voor trainings- en validatiedocumentatie.
3. Bepaal per categorie de maximumtermijn onder GDPR — alleen zolang nodig voor het verwerkingsdoel, met concrete criteria voor noodzakelijkheid.
4. Voeg sectorale vereisten toe — controleer of financiële regelgeving, gezondheidswetgeving of andere regimes langere termijnen opleggen.
5. Leg vast hoe u anonimisering en verwijdering uitvoert — welke stappen, wie verantwoordelijk, en hoe u dit auditabel maakt.

De nieuwe uitleg rond artikel 12 en 19 verandert niet wat u inhoudelijk beoordeelt — dat oordeel blijft bij u. Wat wél verandert, is dat u uw bewaartermijnen expliciet moet kunnen uitleggen: hoe lang, voor welke datacategorie, en op grond van welke combinatie van regelgeving. Tooling kan u helpen om anonimisering vooraf uit te voeren en per workflow zichtbaar te maken welke stappen zijn gezet. Maar de keuze welke termijnen gerechtvaardigd zijn, en hoe u die handhaven, blijft uw professionele verantwoordelijkheid.